29
Abr

DPO&IT Law participó en el II Congreso de la Abogacía Madrileña

Fernando Ramos Suárez, socio director de DPO & IT Law, participó como ponente en la mesa redonda donde se trataron las novedades que incorpora el Nuevo Reglamento de Protección de Datos, dentro del II Congreso de la Abogacía Madrileña.

En la mesa de protección de datos para abogados se abordaron las novedades del Reglamento Europeo de Protección de Datos que serán de aplicación a partir de mayo de 2018 y su aplicación práctica al entorno de los despachos de abogados. Los mesa estaba formada por:

El evento tuvo una gran afluencia y gran demanda entre el público asistente al Congreso. Así lo atestigua la imagen instantánea tomada por la abogada Paloma Llaneza y colgada en su twitter personal.

29
Abr

Reglamento General de Protección de Datos (RGPD) : Derecho de portabilidad, oposición y a limitar las decisiones individuales automatizadas

2.6 DERECHO DE PORTABILIDAD

El derecho a la portabilidad viene regulado en los art. 20 y considerando 68 del RGPD.

Artículo 20: Derecho a la portabilidad de los datos

  1. El interesado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado, cuando:
    1. el tratamiento esté basado en el consentimiento con arreglo al artículo 6 (Licitud del tratamiento), apartado 1, letra a), o el artículo 9 (Tratamiento de categorías especiales de datos personales), apartado 2, letra a), o en un contrato con arreglo al artículo 6, apartado 1, letra b), y
    2. el tratamiento se efectúe por medios automatizados.
  2. Al ejercer su derecho a la portabilidad de los datos de acuerdo con el apartado 1, el interesado tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible.
  3. El ejercicio del derecho mencionado en el apartado 1 del presente artículo se entenderá sin perjuicio del artículo 17 (Derecho al olvido). Tal derecho no se aplicará al tratamiento que sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
  4. El derecho mencionado en el apartado 1 no afectará negativamente a los derechos y libertades de otros.
  1. Alcance

Se establece como un derecho del interesado a recibir todos aquellos datos personales que le incumban y que haya facilitado a un responsable, siempre y cuando el tratamiento esté basado en el consentimiento o sea necesario para la ejecución de un contrato y el mismo se efectúe por medios automatizados.

Como excepción se establece aquellos supuestos en los que el tratamiento se funde en el cumplimiento de una misión de interés público o inherente al ejercicio del poder público.

  1. Modo

Se establece que los interesados deben de recibir los datos en un formato estructurado de uso común y de lectura mecánica e interoperable o, siempre que la tecnología lo permita, el interesado tendrá el derecho a que los datos personales se transmitan directamente de un responsable de tratamiento a otro.

El derecho a la portabilidad ha suscitado muchas cuestiones respecto qué datos deben ser facilitados al interesado o en su caso el responsable. Se establecen tres categorías de datos, los facilitados por el usuario, los originados por el responsable en el tratamiento de datos e incluso los inferidos por éste último. Para aclararnos dichas dudas y analizar en profundidad el derecho a la portabilidad y el tipo de datos deben de ser facilitados por el responsable al interesado, el Grupo de Trabajo 29 ha publicado una guía denominada:

“Sobre el derecho a la portabilidad de los datos, el 13 de diciembre de 2016, 16/EN/242”

En esta guía de interpretación se abordan las siguientes cuestiones:

  • ¿Cuáles son los principales elementos de la portabilidad de los datos?
  • ¿Cuándo es aplicable la portabilidad de los datos?
  • ¿De qué modo se aplican las normas generales que rigen el ejercicio de los derechos de los interesados a la portabilidad de los datos?
  • ¿Cómo deben proporcionarse los datos que pueden portarse?

Recomendamos su lectura para una correcta interpretación del derecho a la portabilidad, no obstante y en relación con la principal pregunta que se hacen los responsables respecto del alcance de la portabilidad, el GT 29 ha manifestado en dicha guía que los datos que cubre el derecho a la portabilidad son fundamentalmente los datos proporcionados de forma activa y consciente por el interesado, y aquellos datos que son proporcionados también por el interesado en virtud del uso del servicio o el dispositivo. En este último caso la guía del GT29 destaca como ejemplos de datos originados por el servicio, el historial de búsqueda, los datos de tráfico y los datos de ubicación. Podemos concluir por tanto que los datos inferidos o deducidos del interesado y por tanto creados por el responsable sobre la base de los datos proporcionados por éste último, no estarían incluidos en el derechos a la portabilidad.

PREGUNTAS FRECUENTES:

En lo relativo al alcance del derecho de portabilidad, el artículo 20 RGPD indica que solo se aplica al tratamiento basado en el consentimiento del interesado o ejecución de un contrato. ¿Excluye su aplicación, entonces, ante otros tratamientos como el necesario para cumplir una misión de interés público?

Efectivamente el derecho a la portabilidad se dará siempre y cuando el tratamiento esté basado en el consentimiento o sea necesario para la ejecución de un contrato, por tanto, quedarían exceptuados cuando sea necesario para cumplir una obligación legal aplicable al responsable o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.

Una de las cuestiones que más incertidumbre pueden desprender es la extensión de este derecho. En este sentido, ¿qué datos debe el responsable facilitar a los interesados? ¿Solo aquellos que el interesado haya facilitado o todos los que se hayan podido generar durante el tiempo que la empresa los ha tratado? 

Efectivamente, es una de las cuestiones más controvertidas en relación al derecho de portabilidad. En principio, el derecho está pensado para que sea posible cambiar de proveedor de servicios y continuar con el servicio de una forma relativamente sencilla, pero con nuevo proveedor. Por tanto, sería más razonable preguntarse qué datos personales va a necesitar el nuevo proveedor. En definitiva, la portabilidad debe aplicarse sobre aquellos datos básicos para que el otro operador o empresa que presta servicios similares pueda empezar a trabajar sin necesidad de que tengas que rellenar otra vez todos los formularios que son necesarios para poder comenzar la relación jurídica. De este modo, facilitar absolutamente todos los datos puede suponer una extralimitación de lo que debería ser el derecho a la portabilidad, no obstante el GT29 ha establecido en su guía sobre el derecho de portabilidad que deberán ser facilitados los datos facilitados por el interesado y los obtenidos del mismo en la prestación del servicio, podemos por tanto encontrarnos en según qué servicios o casos con una cantidad masiva de datos del interesado que deberán ser facilitadas al mismo o a su nuevo proveedor. Desde mi punto de vista esto puede originar muchos problemas no sólo económicos por la dedicación de tiempo y personal para realizar la portabilidad, si no también de falta de información al usuario que autorice extracción masiva de sus datos por nuevos proveedores excediéndose dicha entrega de los datos que realmente quiere el interesado ceder al nuevo proveedor para la prestación del servicio.

CONCLUSIONES

  • Es el derecho a recibir el interesado u otro responsable los datos personales del interesado en formato común y estructurado siempre y cuando el tratamiento se base en el consentimiento o en la ejecución de un contrato.

 

2.7 DERECHO DE OPOSICIÓN

El derecho a la oposición viene regulado en el art. 21 y en los considerandos 69 a 70 del RGPD.

Artículo 21: Derecho de oposición

  1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) (interés público) o f) (interés legítimo), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
  2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia.
  3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines.
  4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información.
  5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE (sobre privacidad, ver considerando 173), el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.
  6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89 (Garantías y excepciones aplicables al tratamiento con fines de archivo en interés público…), apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.
  1. Alcance

Se establecen los siguientes supuestos específicos en los que poder ejercitar el derecho de oposición:

  • En los supuestos de tratamiento de datos en interés público (6.1 e)
  • En los supuestos de interés legítimo (6.1 f).

En el caso de que los datos sean tratados con finalidades de Marketing Directo el responsable está obligado en todo momento a dejar de tratar los datos en cuanto el interesado se oponga a dicho tratamiento. Además, deberá comunicar su derecho al interesado en la primera comunicación que realice de forma clara y al margen de cualquier otra información.

  1. Modo

A diferencia de nuestra normativa, en la que era el interesado quién debía demostrar la situación particular para la oposición, en el RGPD se invierte dicha carga siendo obligación del responsable demostrar que existen motivos suficientes que prevalezcan sobre los derechos y libertades del interesado. En caso contrario, dejará de tratar los datos personales del interesado.

PREGUNTAS FRECUENTES:

En relación con este derecho y el derecho de supresión, en este último caso ¿el ejercicio de la supresión supone que el interesado permite al responsable tener sus datos en mis sistemas, con la circunstancia de que no puedo usarlos?

El derecho a la supresión no significa que los datos deban ser eliminados, sino que debe dejarse de tratar los mismos, y por tanto podrían ser mantenidos conforme a los requisitos del artículo 17.3. Aunque se supriman los datos porque dejan de ser útiles para la finalidad en la que fueron recabados, o porque ejerciten el derecho de supresión, es posible su conservación para defenderte frente a reclamaciones, ya que de lo contrario quedarías en indefensión frente por ejemplo una demanda del interesado que sabe que ejercitó el derecho de supresión.

Los supuestos del 17.3 serían:

  • El ejercicio de las libertades de expresión e información
  • El Cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros.
  • Tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
  • Razones de interés público en el ámbito de la salud pública.
  • Fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento
  • Formulación, ejercicio o defensa de reclamaciones.

En conclusión, mientras que en la oposición estamos ante un tratamiento ilegítimo en apariencia o un tratamiento sobre el cual prevalecen los derechos del interesado, manifestando el mismo su disconformidad (su oposición a dicho tratamiento, valga la redundancia); el derecho de supresión supone dejar de utilizar una serie de datos personales sobre los cuales en su día hubo una base legal y justificada para su tratamiento.

CONCLUSIONES

  • Se invierte la carga de la prueba siendo el responsable el que debe de demostrar la existencia de intereses superiores a los del interesado.
  • Opt-out en el marketing Directo.

 

2.8 DERECHO A LIMITAR LAS DECISIONES INDIVIDUALES AUTOMATIZADAS

El derecho a las decisiones automatizadas viene regulado en los art. 21 y considerandos 69 a 70 del RGPD.

Artículo 22: Decisiones individuales automatizadas, incluida la elaboración de perfiles

  1. Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.
  2. El apartado 1 no se aplicará si la decisión:
    1. es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento;
    2. está autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, o
    3. se basa en el consentimiento explícito del interesado.
  3. En los casos a que se refiere el apartado 2, letras a) y c), el responsable del tratamiento adoptará las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión.
  4. Las decisiones a que se refiere el apartado 2 no se basarán en las categorías especiales de datos personales contempladas en el artículo 9 (Tratamiento de categorías especiales de datos personales), apartado 1, salvo que se aplique el artículo 9, apartado 2, letra a) o g), y se hayan tomado medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado.
  1. Alcance

Se incluyen las elaboraciones de perfiles o profiling y se establece que los interesados tendrán derecho a no ser objeto de dichos tratamientos basados únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten al interesado de forma similar. El considerando 71 establece como ejemplos:

“la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna”

Así mismo, establece dicho considerando lo que puede llegar a entenderse por elaboración de perfiles:

“…elaboración de perfiles consistente en cualquier forma de tratamiento de los datos personales que evalúe aspectos personales relativos a una persona física, en particular para analizar o predecir aspectos relacionados con el rendimiento en el trabajo, la situación económica, la salud, las preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o los movimientos del interesado, en la medida en que produzca efectos jurídicos en él o le afecte significativamente de modo similar.”

“….el responsable debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado y se impidan, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o que den lugar a medidas que produzcan tal efecto. Las decisiones automatizadas y la elaboración de perfiles sobre la base de categorías particulares de datos personales únicamente deben permitirse en condiciones específicas.”

 Como excepciones se establecen las relaciones contractuales libremente aceptadas y el consentimiento o la previsión del Derecho Nacional o de la UE. Además, se establece que, en el caso de que se haya prestado el consentimiento o exista una relación contractual libremente aceptada, el tratamiento debe estar sujeto a las siguientes garantías adecuadas:

  • Incluir información específica al interesado.
  • Derecho a obtener intervención humana.
  • Derecho a expresar su punto de vista.
  • Derecho a recibir una explicación de la decisión tomada después de la evaluación.
  • Derecho a impugnar la decisión.

PREGUNTAS FRECUENTES:

Con este nuevo derecho, un interesado además de negarse a usar sus datos para elaborar perfiles ¿a qué otro tipo de cosas puede negarse? Si tengo en mis sistemas algún algoritmo que haga este tipo de tratamientos ¿debo informar a los interesados? ¿Cómo pueden ellos saber que los uso?

Realmente, esta consulta puede resolverse con un ejemplo práctico. Imaginemos que no se concede un crédito porque una decisión automatizada sin intervención humana. Que una máquina tome una decisión automatizada que produzca efectos jurídicos o afecte de modo similar sin el consentimiento del interesado no es posible, y aunque lo obtuviera, dicho interesado tiene derecho a incluir información específica al interesado, derecho a obtener intervención humana, derecho a expresar su punto de vista y derecho a recibir una explicación de la decisión tomada después de la evaluación.

Este derecho ¿se podría entender como el de Limitación de Tratamiento, pero siendo permanente y no temporal como el de limitación?

En principio es un derecho con autonomía propia que se da en las circunstancias que marca el art. 21.

CONSULTA: En relación con este derecho y el derecho de supresión, en este último caso ¿el ejercicio de la supresión supone que el interesado me deja tener sus datos en mis sistemas, con la circunstancia de que no puedo usarlos?

El derecho a la supresión no significa que los datos deban ser eliminados, sino que que debe dejarse de tratarlos, y podrían ser mantenidos conforme a los requisitos del artículo 17.3. Aunque se supriman los datos porque dejan de ser útiles para la finalidad en la que fueron recabados o porque ejerciten el derecho de supresión, es posible su conservación para defenderte frente a reclamaciones, ya que de lo contrario quedarías en indefensión frente por ejemplo una demanda del interesado que sabe que ejercitó el derecho de supresión.

Los supuestos del 17.3 serían:

  • El ejercicio de las libertades de expresión e información
  • El Cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros.
  • Tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
  • Razones de interés público en el ámbito de la salud pública.
  • Fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento
  • Formulación, ejercicio o defensa de reclamaciones.

En conclusión, mientras que en la oposición estamos ante un tratamiento ilegítimo en apariencia o un tratamiento sobre el cual prevalecen los derechos del interesado, manifestando el mismo su disconformidad (su oposición a dicho tratamiento, valga la redundancia); el derecho de supresión supone dejar de utilizar una serie de datos personales sobre los cuales en su día hubo una base legal y justificada para su tratamiento.

CONCLUSIONES

  • Se permite con el consentimiento del interesado o en relaciones contractuales libremente aceptadas, siempre y cuando se garantice incluir información al respecto y se garantice el derecho del interesado a la intervención humana, a expresar su punto de vista, a recibir una explicación de la decisión y a impugnar la misma.

 

17
Abr

Reglamento General de Protección de Datos (RGPD) : Derechos de rectificación, supresión y limitación

2.3 DERECHO DE RECTIFICACIÓN

El derecho de rectificación viene regulado en al art. 16 y en el considerando 65 del RGPD.

Artículo 16: Derecho de rectificación
El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

Existe una vinculación directa del derecho a la rectificación con el carácter inexacto o incompleto de los datos. Será por tanto obligación de los responsables que los datos no sean incompletos o inexactos, debiendo garantizar que los mismos serán actualizados sin dilación indebida y al mismo tiempo el interesado tiene el derecho a que sus datos sean rectificados en los supuestos en que los mismos sean inexactos.

 

2.4 DERECHO DE SUPRESIÓN

El derecho de supresión viene regulado en al art. 17 y en los considerandos 65 y 66 del RGPD.

Artículo 17: Derecho de supresión

  1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
    1. los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
    2. el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a) (Consentimiento), o el artículo 9, apartado 2, letra a) (Consentimiento en categorías especiales de datos), y este no se base en otro fundamento jurídico;
    3. el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1 (Derecho de oposición personal, interés público o interés legítimo), y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2 (Derecho de oposición marketing Directo);
    4. los datos personales hayan sido tratados ilícitamente;
    5. los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
    6. los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8 (Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información), apartado 1.
  2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
  3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
    1. para ejercer el derecho a la libertad de expresión e información;
    2. para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
    3. por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3 (Tratamiento de categorías especiales de datos personales);
    4. con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1 (Investigación científica estadística), en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
    5. para la formulación, el ejercicio o la defensa de reclamaciones.

 

  1. Alcance

El derecho a la supresión de los datos y por tanto que los mismos sean suprimidos y dejen de tratarse por el responsable sin dilación indebida se produce en los siguientes supuestos:

  • Dejan de ser necesarios para los fines en los que fueron recabados.
  • El consentimiento ha sido retirado por el interesado.
  • El interesado se opone al tratamiento de los mismos conforme al 21 del RGPD.
  • Los datos han sido tratados ilícitamente.
  • Para el cumplimiento de una obligación legal establecida por el Derecho de la UE o de los Estados miembros.
  • Se hayan obtenido en relación a una oferta de servicios de la sociedad de la información efectuada a menores conforme el 8 del RGPD (consentimiento de menores en relación a los SSI).

Se hace también referencia expresa al “Derecho al olvido”. Es decir, a la manifestación del derecho de supresión en Internet. De manera que cuando el responsable de tratamiento haya publicado datos personales que han dejado de ser útiles o necesarios para la finalidad en que fueron recabados y reciba solicitudes de supresión de interesados adoptará las medias razonables para informar a los responsables que estén tratando dichos datos personales de que existe una solicitud de supresión del interesado que afecta tanto a enlaces, como a cualquier copia o réplica.

  1. Derecho a la Retención o Bloqueo.

Si bien no hay una mención expresa al bloqueo de datos, si se establece en el art. 17 y considerando 65 una mención a la posible retención de los datos por parte del responsable de tratamiento o excepciones al derecho de supresión. Así se señala que, aunque los datos dejen de ser útiles o necesarios o el interesado retire el consentimiento para el tratamiento, cuando el tratamiento es necesario para:

  • El ejercicio de las libertades de expresión e información
  • El Cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros.
  • Tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
  • Razones de interés público en el ámbito de la salud pública.
  • Fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento
  • Formulación, ejercicio o defensa de reclamaciones.

PREGUNTAS FRECUENTES:

¿Es posible realizar un bloqueo de datos por responsabilidades nacidas del tratamiento de datos solo durante los plazos legales establecidos de responsabilidad según el apartado 17.3 b RGPD?

El plazo para el ejercicio de las acciones legales de responsabilidad que se establecen en la ley Española es la que efectivamente nos permitiría realizar una conservación o bloqueo de datos personales, y por tanto conservarlos durante el plazo de prescripción de dichas acciones. Sin embargo, pueden existir otros supuestos de conservación, como los establecidos en el  art. 17.3 e): formulación, ejercicio o defensa de reclamaciones etc. En algún caso podría incluso surgir un conflicto en relación a la información facilitada al interesado sobre el plazo de conservación, ya que podría producirse un incumplimiento si transcurrido dicho plazo los datos se siguen conservando para el ejercicio o defensa de reclamaciones. En estos casos de posible conflicto, la conclusión a la que llegamos, es que si una ley obliga a dicha conservación, o si se ha informado al interesado de la posibilidad de conservar los datos personales para el ejercicio de acciones, los mismos podrían ser conservados y por tanto bloqueados únicamente para el ejercicio de dichas acciones de responsabilidad existentes (17.3 b) o para la formulación o atención a las reclamaciones (17.3 e).

¿Qué cambios introduce el RGPD en el actual procedimiento de cancelación/bloqueo?

Desde un punto de vista práctico, el RGPD no introduce grandes cambios, puesto que se permite conservar los datos para atender a posibles reclamaciones. Por tanto, será posible conservar los datos o mantenerlos bloqueados para atender a las reclamaciones que puedan surgir en función de la responsabilidad de dichos tratamientos. Si bien no se hace mención a ello específicamente, entendemos que no permitir dicho bloqueo con conservación podría producir una situación de indefensión al Responsable si tiene que eliminarlos o borrarlos y luego no puede presentarlos como prueba en procedimientos judiciales. En todo caso lo que, sí sería necesario de regular es el procedimiento por el que se procede al bloqueo para garantizar que dichos datos no serán tratados con otras finalidades y que por tanto únicamente se accederá a ellos para la atención de dichas responsabilidades surgidas del tratamiento.

 

CONCLUSIONES

  • La supresión se producirá cuando dejen de ser necesarios para la finalidad en que fueron recabados, se retire el consentimiento, el interesado se oponga, lo establezca la ley, en supuestos de menores y SSI, y cuando han sido tratados ilícitamente.
  • Se permite conservar los datos para el ejercicio o defensa de reclamaciones.

 

2.5 DERECHO DE LIMITACIÓN DEL TRATAMIENTO

El derecho a la limitación viene regulado en los art. 18 y considerando 67 del RGPD.

Artículo 18: Derecho a la limitación del tratamiento

  1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
    1. el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
    2. b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
    3. c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
    4. d) el interesado se haya opuesto al tratamiento en virtud del artículo 21 (Derecho de oposición), apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
  2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.
  3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación.
  1. Alcance

El derecho a la limitación del dato personal establece un derecho a que los datos sean marcados de tal manera que se evite por parte del responsable un tratamiento en un futuro.

Art.4. Definiciones

3) “limitación del tratamiento”: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;

Si bien en nuestra normativa de protección de datos establecía que el bloqueo era una consecuencia derivada de la cancelación, en el caso de la limitación es un derecho en sí mismo considerado. De tal manera que el responsable de tratamiento deberá limitar el mismo en determinados supuestos:

  • Impugnación de exactitud de datos, durante el plazo que se permite al responsable verificar la misma.
  • Tratamientos ilícitos en los que el interesado se opone a la supresión.
  • Los datos ya no son necesarios para la finalidad del tratamiento pero el interesado los necesita para la formulación, el ejercicio o la defensa de reclamaciones.
  • Oposición conforme al art. 21 del RGPD.
  1. Modo

En los supuestos contemplados de limitación, los datos sólo podrán ser objeto de tratamiento para:

  • Su conservación.
  • Con el consentimiento del interesado.
  • Para la formulación, el ejercicio o defensa de reclamaciones.
  • Para la protección de los derechos de la persona física o jurídica
  • Por razones de interés público de la UE o Estados miembros.

Los interesados que obtengan la limitación de sus datos deberán ser informados por los responsables antes del levantamiento de dicha limitación.

Por último, el considerando 67 establece qué métodos son aconsejables para la limitación del tratamiento.

Entre los métodos para limitar el tratamiento de datos personales cabría incluir los consistentes en trasladar temporalmente los datos seleccionados a otro sistema de tratamiento, en impedir el acceso de usuarios a los datos personales seleccionados o en retirar temporalmente los datos publicados de un sitio internet. En los ficheros automatizados la limitación del tratamiento debe realizarse, en principio, por medios técnicos, de forma que los datos personales no sean objeto de operaciones de tratamiento ulterior ni puedan modificarse. El hecho de que el tratamiento de los datos personales esté limitado debe indicarse claramente en el sistema.

PREGUNTAS FRECUENTES:

¿El derecho en la limitación del tratamiento debe ser solicitado expresamente por el interesado o es una medida que deberá adoptar directamente el responsable del tratamiento cuando concurran los supuestos del art. 18.1?

El derecho en la limitación del tratamiento se concibe, más bien, como una verdadera obligación del responsable del tratamiento.

Cuando un interesado me solicite suprimir sus datos y pueda hacerlo porque ya no sean necesarios por ninguna causa, contractual, legal…. ¿Podría anonimizarlos en lugar de borrarlos de mis Sistemas?

Con la anonimización de los datos personales ya no es aplicable la normativa de protección de datos, de tal modo que la opción de anonimización en lugar de borrado es altamente recomendable.

Según el art. 18 RGPD el interesado tendrá derecho a obtener del responsable de Tratamiento la limitación del tratamiento de datos, en unos supuestos determinados; ¿pero esta limitación opera por defecto o como un derecho del interesado, éste debe solicitarla?

En los apartados b) y c) del art 18, está claro que el interesado ejercita el derecho cuando se opone a la supresión de los datos y solicita la limitación de uso o cuando le manifiesta al responsable que limite el tratamiento porque los necesita para reclamaciones.

En cambio, en los apartados a) y d) surge la duda de si debe operar por defecto o debe ser solicitado por el interesado:

Cuando el interesado impugne la exactitud de los datos, el responsable deberá limitar el tratamiento, por tanto, es consecuencia del interesado.

Cuando el tratamiento es lícito y el interesado se opone a la supresión, en este caso también nace del interesado.

En conclusión, más que una solicitud como tal del interesado, se viene entendiendo que la limitación en el tratamiento es una obligación del responsable ante determinadas actuaciones del interesado, conforme dicta el art. 18.

 

CONCLUSIONES

  • La limitación se debe de realizar por el responsable cuando el interesado impugne la exactitud de los datos, haya ejercitado el derecho de oposición, el tratamiento es ilícito y el interesado se opone a la supresión, y aunque los datos no son necesarios el interesado los necesita para su defensa ante reclamaciones.

 

17
Abr

Los canales de denuncia interna o whistleblowing

¿ES POSIBLE EN ESPAÑA IMPLANTAR CANALES DE DENUNCIA ANÓNIMOS PARA EL CUMPLIMIENTO DE POLÍTICAS DE RESPONSABILIDAD PENAL CORPORATIVA?

Actualmente, los denominados canales de denuncia interna (en inglés, whistleblowing) se están poco a poco implantando en las empresas como elementos fundamentales para el cumplimiento de las políticas de responsabilidad penal corporativa. Su inclusión en los programas de compliance permiten a la empresa eximirse de responsabilidad penal por los delitos cometidos por su personal en beneficio de la empresa. De esta manera, la posibilidad de comunicar o denunciar por empleados o terceros los hechos ilícitos realizados por otros compañeros o trabajadores de la empresa, deviene como un elemento clave en las políticas de responsabilidad penal corporativa.

Uno de los grandes problemas que se ha suscitado alrededor de estos instrumentos, incluso con aparentes contradicciones en el panorama institucional, es acerca de la admisibilidad de denuncias que no provengan de una fuente identificada, es decir, denuncias de carácter anónimo.

La Agencia Española de Protección de Datos se pronunció acerca de la cuestión en su Informe jurídico 128/2007 y, sorprendentemente y en contra del Dictamen del Grupo de Trabajo del art. 29 (al que haremos mención), se muestra partidaria de un sistema donde únicamente se admitan denuncias identificadas, es decir, una aparente prohibición de estimar y considerar estudiar e investigar denuncias que procedan de fuente anónima, ya que, bajo sus palabras, ello “no perjudicaría la operatividad del sistema, al deber quedar claramente planteada la conclusión de que los datos del denunciante en modo alguno podrían ser transmitidos al denunciado con ocasión del ejercicio del derecho de acceso”.

Desde este momento, la AEPD marcó su disconformidad con el criterio seguido por el Grupo de Trabajo del art. 29 en el Dictamen 1/2006 en relación a la protección de datos en los sistemas internos de denuncias de irregularidades (publicado en febrero de 2006). En esta resolución, el grupo se postula a favor de la configuración de los canales de denuncia interna bajo la posición de la identificación de los denunciantes y la absoluta garantía de confidencialidad que sobre esos datos habría de aplicarse. Como punto en común, queda absolutamente claro que ambas instituciones se muestran partidarias de que el sistema de denuncias internas sea configurado para que las misivas vengan identificadas. No obstante, es claramente discernible la divergencia de opiniones en cuanto a la admisibilidad de denuncias de carácter anónimo.

El GT29, en un tono ciertamente más realista y acorde al funcionamiento empresarial actual, reconoce que las denuncias anónimas son una realidad y que no pueden ser rechazadas de pleno como modus operandi general del responsable del sistema de denuncias. Ello no obsta, para que sobre la presentación de denuncias anónimas no deba aplicarse una debida precaución, enfocada enfoca en el examen de la entidad de los hechos denunciados en aras de valorar la conveniencia de su investigación. Esta precaución implicará que los hechos denunciados deberán tenerse en consideración en función de los efectos adversos que su veracidad pueda representar, sin perder de vista el hecho de su presentación por persona no identificada. Como proyección de la debida cautela que ha de guardarse con las denuncias anónimas, debemos tener en cuenta una serie de criterios y actuaciones del responsable que deben influir a la hora de evaluar la denuncia:

  1. En primer lugar y como requisito imprescindible, deben cumplirse una serie de especificaciones de carácter general aplicables a todo canal de denuncias, tales como: suficiente divulgación del sistema y debida información a los trabajadores (en correlación con el art. 64 del Estatuto de los Trabajadores); facilidad de acceso al sistema; proporcionalidad a la hora de estimar la admisión e investigación de las denuncias; documentación suficiente del sistema, así como catalogación de los comportamientos que se consideran irregulares y las consecuencias de su incumplimiento, en estricta relación con las normas legales y reglamentarias aplicables y otros documentos internos de normas éticas en el entorno de la empresa y garantía por parte del responsable del canal de que no existirán represalias contra los denunciantes.
  1. El canal de denuncias ha de verse respaldado por la dirección de la empresa o entidad creadora, así como configurarse de tal modo que no se fomente la denuncia anónima. Ello podría cumplirse si, por ejemplo, la empresa no anuncia que el sistema admite estas denuncias.
  1. Es importante que la persona(s) u órganos encargados del canal de denuncias informen al denunciante acerca de la protección y confidencialidad de su información personal durante todas las etapas del proceso e incluso a la conclusión del mismo. En añadido, estos datos deberán ser cancelados en un plazo razonable, el cual se viene entendiendo como dos meses tras la conclusión de la investigación. Si a pesar de las informaciones acerca de la confidencialidad ofrecida, el denunciante desea mantener el anonimato, la denuncia podría admitirse en base a más criterios aquí enunciados.
  1. Una consideración de buena práctica sería elaborar un catálogo interno, solo conocido por el responsable del buzón, de qué clase de denuncias anónimas podrían llegar a admitirse, por afectar a materias más sensibles para la empresa (como actos de comunicación de secretos comerciales, fraudes a la empresa de importante cuantía…). Si bien es importante que esta clase de catálogos no fueran conocidos por los sujetos afectados a posibles denuncias en el canal.
  1. Del mismo modo, una investigación fraccionada en dos momentos claramente diferenciables sería una prueba de la debida precaución a adoptar ante denuncias anónimas. En primer lugar, podría llevarse una primera investigación desde una perspectiva más limitada y confidencial para observar indicios de la posible comisión de la infracción, para luego, en caso de obtener pruebas indiciarias suficientes, llevar a cabo una investigación exhaustiva y obtener aquellas pruebas que permitan enjuiciar la culpabilidad o inocencia del denunciado respecto de los hechos comunicados y supuestamente ilícitos.
  1. En último lugar, un importante refuerzo para la “legalidad interna” de las denuncias anónimas consistiría en el establecimiento por parte de la dirección y organización del canal de modo interno que las denuncias anónimas podrían servir –atendiendo a los criterios aquí reseñados- como medio de investigación siempre que no accedan como prueba de cargo a un futurible proceso penal, laboral ante instancias administrativas o judiciales, sin perjuicio de que otros medios probatorios obtenidos de una hipotética investigación y que acrediten el incumplimiento denunciado anónimamente sí puedan tener este valor probatorios en tales procesos administrativos o judiciales.

Resulta importante señalar que, en la práctica judicial, ya se ha admitido el despido procedente de un empleado que engañó a la dirección de recursos humanos solicitando una excedencia especial para “cuidar a familiares octogenarios” empleando ese tiempo, en realidad, en un ingreso en prisión al que había sido condenado (véase la STSJ Canarias, Sala de lo Social, nº 552/2016, de 22/06/2016). Gracias a una denuncia anónima en el Buzón Ético de su empresa, pudo iniciarse una investigación que efectivamente cumplió en las cautelas anteriormente reflejadas: transmisión de la denuncia confidencialmente a determinados órganos empresariales cumpliendo el protocolo de investigación del sistema, reuniones informativas con el denunciado, en pro de estimar una aparente veracidad de los hechos. Es decir, se toman las debidas cautelas para obtener pruebas indiciarias o con carácter más concluyente de que ha podido existir infracción para luego realizar una investigación más exhaustiva incoando expediente al trabajador para la averiguación del alcance de los hechos y, por ende, poder depurar la posible culpabilidad o inocencia del denunciado.

Con esta sentencia, se pone de manifiesto que el criterio mantenido por la AEPD de no estimar ni admitir denuncias anónimas no supone vulnerar el derecho a la protección de datos a la hora de ejecutar medidas disciplinarias sobre circunstancias averiguadas agracias a una denuncia no identificada. El punto clave se hallará, entonces, en la debida cautela y precaución a seguir por los órganos empresariales encargados de la investigación y las posibilidades de defensa que se le permitan al denunciado de aportar aquello que demuestre lo infundado de las sospechas.

 

Carlos de Jorge Pérez

Abogado DPO&itlaw, S.L.

t. @carlosdejp1

 

10
Abr

Reglamento General de Protección de Datos (RGPD) : Derechos del Interesado

1 DERECHOS DEL INTERESADO

EL RGPD regula en el Capítulo III los derechos del interesado en materia de protección de datos los cuales quedan descritos en los art. 15 a 20 y en los considerandos 58 a 71. Como veremos más adelante, el RGPD introduce nuevos derechos a los ya existentes en nuestra normativa de protección de datos (los comúnmente denominados derechos ARCO por el acrónimo de Acceso, Rectificación, Cancelación y Oposición) como son el derecho a la portabilidad del dato y el derecho a la limitación en el tratamiento.

1.1 CUESTIONES GENERALES

A través del art. 12 y considerando 59 se establecen por el RGPD las condiciones generales en las que se deben de dar los derechos del interesado, indicando los plazos, las formas etc.

Artículo 12: Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

  1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 (Información a facilitar al interesado) y 14 (Información cuando no se obtengan los datos del interesado), así como cualquier comunicación con arreglo a los artículos 15 a 22 (Derechos del interesado) y 34 (Violación de Seguridad) relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
  2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22 (Derechos del interesado). En los casos a que se refiere el artículo 11, (Tratamiento que no requiere identificación como las credenciales de acceso) apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22 (Derechos del interesado), salvo que pueda demostrar que no está en condiciones de identificar al interesado.
  3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22 (Derechos del interesado), y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.
  4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.
  5. La información facilitada en virtud de los artículos 13 (Información a facilitar al interesado) y 14 (Información cuando no se obtengan los datos del interesado) así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 (Derechos del interesado) y 34 (Violación de Seguridad) serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
    1. cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
    2. negarse a actuar respecto de la solicitud.

    El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.

  6. Sin perjuicio de lo dispuesto en el artículo 11 (Tratamiento que no requiere identificación como las credenciales de acceso), cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21 (Derechos del interesado), podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.
  7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 (Información a facilitar al interesado) y 14 (Información cuando no se obtengan los datos del interesado) podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente.
  8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 (Ejercicio de Delegación) a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados

Las condicione generales en las que se deben dar los derechos son:

  1. Transparencia: Toda la información que se dirija al interesado ha de ser concisa, de fácil acceso y a través de un lenguaje claro y sencillo. Se intenta evitar las políticas de privacidad excesivamente largas o difíciles de entender. Además, especialmente se establece que en el caso de que vayan dirigidas a menores, las mismas deberán ser no sólo de lenguaje claro y sencillo, sino también entendible por éstos últimos.
  1. Obligación de expresa del ejercicio de Derechos: a diferencia de la Directiva, en el RGPD se establece como una obligación expresa de los responsables hacer efectivos los derechos del interesado.
  1. Plazos: se establece un plazo de 1 mes para hacer efectivo el derecho del interesado, el cual puede ser prorrogado por 2 meses más en supuestos de complejidad o número de solicitudes recibidas. En cualquier caso, deberán ser informadas dichas prórrogas avisando expresamente al interesado de los motivos de la mismas.
  1. Medios Electrónicos: se establece en el considerando 59 que el responsable debe proporcionar medios al interesado para que las solicitudes se presenten por medios electrónicos, sobre todo cuando dicho tratamiento es realizado por dichos medios. Además, deberá darse respuesta por medios electrónicos si la solicitud es realizada a través de los mismos, salvo que el interesado manifieste lo contrario.
  1. Negativa a la solicitud: en los supuestos en los que no se le conceda el ejercicio de derechos, deberá ser informado en el mismo plazo de un mes de los motivos para dicha negativa, y de la posibilidad de presentar la correspondiente reclamación ante la Autoridad competente.
  1. Gratuidad: Si bien el ejercicio de los derechos deberá ser gratuito para los interesados, se establecen los supuestos en los que el responsable puede cobrar una tasa o canon razonable o incluso negarse a responder. Dichos supuestos son los casos de solicitudes abusivas de ejercicio de derechos manifiestamente infundadas o excesivas, y en particular aquellas que tengan un carácter repetitivo.
  1. Información adicional: se podrá solicitar por los responsables del tratamiento información adicional para la identificación del interesado en aquellos casos en los que existan dudas razonables sobre la identidad de la persona física que realiza la solicitud.

CONCLUSIONES

  • Plazo de 1 mes desde la recepción de la solicitud.
  • Uso de medios electrónicos en las solitudes realizadas por estos medios.
  • Políticas de privacidad claras sencillas y de fácil acceso

 

1.2 DERECHO A LA INFORMACIÓN.

El derecho a la información se regula en los art. 13 y 14 así como en los considerandos 60 a 62 del RGPD. A diferencia de la Directiva la obligación de información que tenían los responsables del tratamiento de datos pasa a ser un derecho del interesado y no un deber u obligación del responsable.

El derecho a ser informado y su contenido se divide en dos, en función del origen de la obtención del dato:

  1. Datos obtenidos del interesado:

El art.13 incrementa la información que ha de facilitarse al interesado.

Artículo 13: Información que deberá facilitarse cuando los datos personales se obtengan del interesado

  1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
    1. la identidad y los datos de contacto del responsable y, en su caso, de su representante;
    2. los datos de contacto del Delegado de Protección de Datos, en su caso;
    3. los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
    4. cuando el tratamiento se base en el artículo 6, apartado 1, letra f) (Interés legítimo), los intereses legítimos del responsable o de un tercero;
    5. los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
    6. en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 (Transferencias mediante garantías adecuadas) o 47 (Normas corporativas vinculantes) o el artículo 49 (Excepciones para situaciones específicas), apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
  2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
    1. el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
    2. la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
    3. cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a) (Consentimiento), o el artículo 9, apartado 2, letra a) (Consentimiento explícito categorías especial datos), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
    4. el derecho a presentar una reclamación ante una autoridad de control;
    5. si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
    6. la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, (Decisiones individuales automatizadas, incluida la elaboración de perfiles) y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
  3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
  4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.

Podríamos clasificarla en información Fija y Variable, siendo la primera aquella información que siempre se ha de facilitar al interesado y Variable aquella información que varía en función de que la misma sea aplicable al supuesto de hecho o al concreto responsable de tratamiento de que se trate.

Información Fija:

  • Identidad y datos de contacto del responsable y, en su caso, de su representante.
  • La finalidad del tratamiento y la base jurídica para el tratamiento del mismo.
  • Plazos de conservación de los datos o criterios para determinar el plazo.
  • De la posibilidad de solicitar el ejercicio de derechos: acceso, rectificación, supresión, limitación, oposición y portabilidad.
  • El derecho a revocar el consentimiento.
  • El derecho a presentar reclamación ante la Autoridad de Control.

Información Variable:

  • Identidad del Delegado de Protección de Datos.
  • Del interés legítimo del responsable o un tercero, en el caso de uso de dichos supuestos de tratamiento.
  • De los destinatarios en caso de que existan.
  • De las transferencias internacionales incluyendo información sobre las garantías adoptadas.
  • De la existencia de decisiones individualizadas automatizadas.
  • La existencia de comunicaciones de datos, bien por requisito legal o contractual, y de la obligación a facilitar dichos datos y las consecuencias de la negativa a facilitarlos.

La referida información no será de aplicación en los supuestos en los que interesado ya disponga de la misma.

  1. Datos No obtenidos del interesado

En el art.14 se establece la información que se deberá facilitar cuando los datos no hayan sido recabados u obtenidos del interesado. En estos casos el responsable deberá facilitar en el plazo de 1 mes (se modifica el plazo de 3 meses de nuestra normativa) además de la información anterior del art. 13 la siguiente información:

  • El origen de los datos.
  • Las categorías de datos.

Se aclara además que en estos supuestos de no obtención directa del interesado el plazo para informar es de un mes con dos excepciones:

  • Si trata el dato para comunicarse con el afectado, se deberá informar antes o a más tardar en la primera comunicación que se dirija.
  • Si se realiza el tratamiento para facilitárselo a un tercero, se deberá informar antes de la comunicación o a más tardar en el momento en que los datos sean comunicados por primera vez (lo que era el antiguo art. 27 de la LOPD)

Adicionalmente, se establece que en los casos en los que se proyecte realizar un tratamiento posterior para una finalidad distinta a la de la recogida y obtención del dato, se deberá informar con anterioridad a dicho tratamiento de toda la información recogida en dichos arts. 13 y 14.

Por último, en el art. 14.5 se establecen los supuestos o excepciones respecto al deber de información al interesado:

14.5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

  1. el interesado ya disponga de la información;
  2. la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1 (Investigación científica o estadística), o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
  3. la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
  4. cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.

Al igual que en el supuesto de obtención directa del interesado, no será necesario informar en los casos en los que el interesado ya dispone de dicha información, ni en los siguientes supuestos:

  • Resulte imposible o suponga un esfuerzo desproporcionado en caso de tratamiento con fines de archivo, estadísticos o de investigación científica o histórica. Se entiende por el considerando 62 que para que se dé esta circunstancia es necesario tener en consideración el número de interesados, la antigüedad de los casos y las garantías adoptadas.
  • Exista una Previsión legal expresa de tratamiento o prohibición de revelación, con medidas oportunas de protección.
  • Obligación de secreto legal o profesional.

 

  1. Guía de la AEPD para el cumplimiento del deber de informar.

En relación con el deber de información la AEPD de datos ha publicado unas Guías para el cumplimiento del deber de informar en donde destaca la división de la información por capas o niveles, de forma similar a como se venía realizando con las cookies. Así la AEPD recomienda dividir la información en dos capas, de tal forma que una primera capa se informe de la información básica y resumida del tratamiento de datos en el mismo momento y en el mismo medio en el que se recojan los datos, para a continuación remitir a un segundo nivel o segunda capa en donde se incluirá de forma detallada el resto de obligaciones de información. Esta segunda capa podrá ser un medio distinto más adecuado para su presentación y comprensión pudiendo tratarse incluso de un archivo descargable. El cuadro resumen publicado por la AEPD sería el siguiente:

 

Epígrafe Información básica (1a capa, resumida) Información adicional (2a capa, detallada)
“Responsable”
(del tratamiento)
Identidad del Responsable del Tratamiento Datos de contacto del Responsable
Identidad y datos de contacto del representante
Datos de contacto del Delegado de Protección de Datos
“Finalidad”
(del tratamiento)
Descripción sencilla de los fines del tratamiento, incluso elaboración de perfiles Descripción ampliada de los fines del tratamiento
Plazos o criterios de conservación de los datos
Decisiones automatizadas, perfiles y lógica aplicada
“Legitimación”
(del tratamiento)
Base jurídica del tratamiento Detalle de la base jurídica del tratamiento, en los casos de obligación legal, interés público o interés legítimo.
Obligación o no de facilitar datos y consecuencias de no hacerlo
“Destinatarios”
(de cesiones o transferencias)
Previsión o no de Cesiones Destinatarios o categorías de destinatarios
Previsión de Transferencias, o no, a terceros países Decisiones de adecuación, garantías, normas corporativas vinculantes o situaciones específicas aplicables
“Derechos”
(de las personas interesadas)
Referencia al ejercicio de derechos. Como ejercer los derechos de acceso, rectificación, supresión y portabilidad de sus datos, y la limitación u oposición a su tratamiento
Derecho a retirar el consentimiento prestado
Derecho a reclamar ante la Autoridad de Control
“Procedencia”
(de los datos)
Fuente de los datos (cuando no proceden del interesado) Información detallada del origen de los datos, incluso si proceden de fuentes de acceso público
Categorías de datos que se traten

 

De esta manera ala AEPD recomienda presentar siempre los cinco primeros epígrafes (“Responsable”, “Finalidad”, “Legitimación”, “Destinatarios” y “Derechos”), añadiendo el epígrafe “Procedencia” únicamente cuando los datos no procedan del propio interesado. El objetivo por tanto por un lado es facilitar la tarea del Responsable del Tratamiento a la hora de diseñar sus procedimientos y formularios de recogida de datos, y por otro, conseguir que las personas interesadas obtengan la información más relevante de forma rápida y simplificada en una primera capa, pero sin que ello suponga ningún menoscabo de los principios de licitud, lealtad y transparencia que establece el RGPD.

Un ejemplo de Cláusula de información en formato papel podría ser el siguiente:

Ejemplo de Cláusula Información básica 1ª capa en formato Papel sobre Protección de Datos
Responsable Ediciones Warren&Brandeis, S.A.
Finalidad Gestión de la suscripción
Legitimación Ejecución de un contrato
Destinatarios No se cederán datos a terceros, salvo obligación legal
Derechos Acceder, rectificar y suprimir los datos, así como otros derechos, como se explica en la información adicional
Información adicional Puede consultar la información adicional y detallada sobre Protección de Datos en nuestra página web: http://www.warrenbrandeis.com/protecciondatos

 

Otra ejemplo de cláusula de información en formato electrónico podría ser el siguiente:

Información básica sobre Protección de Datos
Responsable Ediciones Warren&Brandeis, S.A.  +info
Finalidad Gestionar el envío de información y prospección  comercial  +info
Legitimación Consentimiento del interesado  +info
Destinatarios Otras empresas del grupo Warren&Brandeis, Inc. Encargados de Tratamiento fuera de la UE, acogido  a “Privacy Shield”  +info
Derechos Acceder, rectificar y suprimir los datos, así como otros derechos, como se explica en la información adicional  +info
Información adicional Puede consultar la información adicional y detallada sobre Protección de Datos en nuestra página web: http://www.warrenbrandeis.com/protecciondatos/info/

 

CONCLUSIONES

  • Información fija a facilitar: Datos del responsable, finalidad y base jurídica del tratamiento, plazo de conservación, ejercicio de derechos, posibilidad de revocar el consentimiento y posibilidad de reclamación.
  • Información variable: Cesiones o comunicaciones, Delegado de PD, Interés legítimo, Transferencias internacionales y decisiones automatizadas.
  • En caso de no obtener la información del interesado se deberá informar en el plazo de 1 mes añadiendo información sobre el origen de los datos y las categorías de datos obtenidas.
  • Se recomienda por las Autoridades de control dividir la información en dos capas, una de primer nivel con la información básica resumida y otra de segundo nivel con información adicional detallada.

 

1.3 DERECHO DE ACCESO

El derecho de acceso viene regulado en al art. 15 y en los considerandos 63 y 64 del RGPD.

Artículo 15: Derecho de acceso del interesado

  1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
    1. los fines del tratamiento;
    2. las categorías de datos personales de que se trate;
    3. los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
    4. de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
    5. la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
    6. el derecho a presentar una reclamación ante una autoridad de control;
    7. cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
    8. la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4 (Decisiones individuales automatizadas, incluida la elaboración de perfiles), y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
  2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia (Transferencia con garantías adecuadas).
  3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
  4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.
  1. Alcance

A diferencia con el derecho de acceso de nuestra normativa de protección de datos, el derecho de acceso que introduce el RGPD, es un derecho más amplio que debe incluir la siguiente información:

  • Finalidad del tratamiento.
  • Categoría del dato tratado.
  • Destinatarios.
  • Plazo de conservación.
  • Existencia del derecho a rectificar, suprimir, limitar u oponerse al tratamiento.
  • Reclamación.
  • Origen de la fuente de obtención del dato.
  • Existencia de decisiones individuales automatizadas y elaboración de perfiles, así como la lógica aplicada para las mismas.
  • Transferencias internacionales y garantías implantadas para la realización de las mismas.

Respecto al modo en el que se debe facilitar el acceso, el art. 15.3 y el considerando 63 señalan que se deberá facilitar una copia de los datos objeto de tratamiento de forma sencilla o con facilidad en intervalos de plazo razonables, con el fin de que el interesado pueda verificar y conocer la licitud del tratamiento. Se hace una mención específica en dicho considerando, a los datos relativos a la salud incluidos en los Historiales Clínicos, debiendo contener información sobre diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas.

Así mismo, en caso de que el interesado solicite otra copia, esta podrá ser remunerada con una tasa o canon razonable basado en los costes administrativos que suponga dicha copia. Además, debe facilitarse por medios electrónicos de uso común, si el interesado utilizó estos para realizar su solicitud. A este respecto, el considerando 63 establece que los responsables deben estar facultados para permitir un acceso remoto seguro que ofrezca al interesado un acceso directo a sus datos personales.

Se habilita igualmente por el considerando 63 la posibilidad de solicitar al interesado mayor concreción en la solicitud de acceso cuando la misma conlleve gran cantidad de información relativa al interesado.

Por último, en el mismo considerando se restringe el ejercicio del derecho de acceso a que el mismo no afecte negativamente a los derechos y libertades de otros, incluidos los secretos comerciales o la propiedad intelectual, y en particular los derechos de propiedad intelectual que protegen los programas informáticos.

 

CONCLUSIONES

  • Se amplía el derecho de acceso a la finalidad, categoría de datos, destinatarios, plazo de conservación, existencia de los restantes derechos y posibilidades de reclamar y, en su caso, al origen de la fuente del dato, existencia de decisiones automatizadas, elaboración de perfiles, y transferencias internacionales.
  • Se habilita al responsable a que en supuestos de grandes cantidades de información solicite  mayor concreción al interesado.
3
Abr

Reglamento General de Protección de Datos (RGPD) : Licitud en el Tratamiento

7. LICITUD EN EL TRATAMIENTO

 

7.1 LEGITIMIDAD EN EL TRATAMIENTO

La licitud o legitimidad en el tratamiento de datos se encuentra regulado en el art. 6 y en los considerandos 41, y 45 a 50.

Artículo 6: Licitud del tratamiento.

  1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
    1. el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
    2. el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
    3. el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
    4. el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
    5. el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
    6. el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

El RGPD en el art. 6 se regula lo que nuestra normativa establecía como excepciones al consentimiento en el art. 6.2 de la LOPD.  De esta manera, comprobamos como no es necesario el consentimiento cuando el mismo es necesario para:

  • La ejecución de un contrato, o lo que antes se denominaba el mantenimiento de una relación negocial, laboral o administrativa.
  • El cumplimiento de una obligación legal. La cual no necesariamente debe ser un acto legislativo adoptado por un parlamento, pero sí debe ser clara precisa y su aplicación previsible para los destinatarios de conformidad con la Jurisprudencia del Tribunal de Justicia de la Unión Europea (en adelante TJUE) y del Tribual Europeo de Derechos Humanos. (Considerando 41 y 45).
  • El cumplimiento intereses públicos, debiendo garantizarse que el tratamiento debe tener su base y finalidad en derecho de la UE o en el de los Estados Miembro ( 6.3 y considerando 45). A este respecto, el RGPD establece en el apartado 2 del art. 6, que, tanto para el cumplimiento de intereses públicos como obligaciones legales, los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del RGPD.
  • Para la protección de intereses vitales del interesado. El considerando 46 establece como ejemplos de intereses vitales y de interés público, aquellos relativos al tratamiento necesario para fines humanitarios (incluido el control de epidemias y su propagación) y situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.
  • Para la satisfacción de un interés legítimo. Se incorpora de forma similar a como se hacía por la directiva 95/46, y por tanto se establece el equilibrio de intereses entre el interesado y el responsable. De tal manera que existirá un interés legítimo por parte de un responsable de tratamiento, (o incluso de un responsable al que se puedan comunicar datos personales), siempre y cuando no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable (considerando 47). Por tanto, si bien el responsable puede realizar un tratamiento de datos sin recabar el consentimiento en virtud del interés legítimo, el interesado también podrá hacer prevalecer sus derechos y libertades a través del ejercicio del derecho de oposición, el cual podrá ser concedido siempre y cuando exista una circunstancia personal que haga prevalecer sus derechos y libertades al derecho del responsable.

Podemos, por tanto, apreciar que de entre las situaciones que permiten el tratamiento lícito de datos sin consentimiento, la satisfacción del interés legítimo es la excepción que mayor indeterminación podrá producir en la aplicación práctica del RGPD, ya que podría recurrirse a la misma como cajón de sastre para la no obtención del consentimiento del interesado en determinadas situaciones en las que el mismo resulta de difícil o imposible obtención. Como hemos visto anteriormente, uno de los mayores cambios que introduce el RGPD con respecto a nuestra normativa de protección de datos es el de la eliminación del consentimiento tácito, siendo por tanto la satisfacción del interés legítimo, un elemento clave para considerar la existencia de un tratamiento de datos sin consentimiento del interesado.

Es por esta razón, por la que el RGPD en sus considerandos 47 a 49 establece ejemplos de cuando podríamos encontramos ante un interés legítimo por parte del responsable, aclarando que siempre habrá que realizar una evaluación meticulosa y aplicar la regla de la expectativa legítima o razonable para la consideración de dicho interés legítimo (dicha regla es establecida por el Grupo de trabajo 29 en Opinión nº 6 de 2014).

Así, en el considerando 47 establece la posibilidad de aplicar el interés legítimo cuando exista una relación pertinente y apropiada entre el interesado y el responsable, como por ejemplo las existentes por éste último con clientes y trabajadores, y además se espere por el interesado de forma razonable que dicho tratamiento tendrá lugar (regla de la expectativa razonable). Como ejemplos hace mención al tratamiento de datos con fines de Martketing Directo, Prevención del Fraude, transmisiones de datos dentro del Grupo Empresarial (considerando 48) y las transmisiones de datos para garantizar la seguridad de las redes (considerando 49).

PREGUNTAS FRECUENTES:

El considerando 47 establece la posibilidad de que el tratamiento de datos se base en el interés legítimo del responsable cuando existe una relación pertinente y apropiada entre interesado y responsable, como por ejemplo en los supuestos en los que el interesado es cliente o está al servicio del responsable. ¿Es posible aplicar este supuesto a los datos personales de proveedores que prestan servicios al responsable

Los considerandos 47 a 49 desarrollan casos en los que podría existir un interés legítimo que permita el tratamiento. Además, ha de tenerse en cuenta que el considerando 47 establece que hay que hacer una evaluación meticulosa y aplicar la regla de la expectativa legítima razonable del informe del grupo de trabajo 29 número 6 del año 2014, por tanto si en la relación con proveedores hay dicha expectativa razonable y una relación pertinente y apropiada, es posible el tratamiento sin recabar dichos consentimientos; pero es preciso hacer hincapié en que no puede constituir una cláusula absoluta para legitimar tratamiento que no pueden ser legitimados por otra vía. También es preciso advertir que, si el interés no se valora correctamente, el responsable se está arriesgando a una fuerte sanción.

7.2 DATOS ESPECIALMENTE PROTEGIDOS

Las categorías especiales de datos se encuentran recogidas en el art. 9 y en los considerandos 51 a 56.

Artículo 9: Tratamiento de categorías especiales de datos personales

  1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.
  2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
    1. el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
    2. el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
    3. el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
    4. el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
    5. el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
    6. el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
    7. el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
    8. el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
    9. el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
    10. el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1 (Investigación Científica, estadística), sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
  3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h) (Medicina preventiva laboral), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.
  4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.

Como vemos el art. 9 mantiene los datos especialmente protegidos por nuestra normativa de protección de datos y añade algunas categorías específicas como el dato genético (antes considerado dato de salud por el RLOPD) el dato biométrico, y la orientación sexual.

De esta manera la categoría de datos especialmente protegidos de nuestra normativa quedaría de la siguiente forma:

  • Ideología = Opiniones políticas.
  • Afiliación Sindical = Afiliación Sindical.
  • Religión = Convicciones religiosas.
  • Creencias = Convicciones filosóficas.
  • Origen racial o étnico = Origen racial o étnico.
  • Salud = Datos relativos a la
  • Origen racial o étnico = Origen racial o étnico.
  • Vida Sexual = Vida Sexual.

Adicionalmente se añade como dato especialmente protegible el Dato Genético, Dato Biométrico, ya comentados anteriormente, y el dato de Orientación sexual.

Como regla general se prohíbe dicho tratamiento salvo que exista un consentimiento explícito por parte del interesado o concurran una serie de circunstancias:

  • Cumplimiento de obligaciones y ejercicios de derechos en el ámbito del Derecho Laboral y de la seguridad y protección social.
  • Protección de Intereses vitales del interesado
  • Tratamiento efectuado en el ámbito de fundaciones o asociaciones cuya finalidad sea política, filosófica, religiosa o sindical.
  • Tratamiento de datos manifiestamente públicos.
  • Tratamientos necesarios para la formulación, ejercicio o defensa de reclamaciones, o tratamientos efectuados por tribunales en el ejercicio de su función judicial.
  • Por razón de interés público en el ámbito de la salud pública.
  • Es necesario con fines de archivo e interés público, fines de investigación científica o histórica o fines estadísticos.

Además, se deja en manos de los Estados miembros la posibilidad de establecer reglas adicionales, o incluso limitaciones, respecto de dichas circunstancias que permiten realizar el tratamiento de datos sensibles.

 

7.3 REFERENCIA ESPECIALES EN LA LICITUD DEL TRATAMIENTO

 

7.3.1 LOS MENORES.

A través del art. 8 y el considerando 38 del RGPD se realiza una especial referencia al tratamiento de datos de niños o menores.

Artículo 8: Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información.

  1. Cuando se aplique el artículo 6, apartado 1, letra a) (Consentimiento), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó.

Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.

  1. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.
  2. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño.

Se considera, por tanto, un consentimiento válido aquel otorgado partir de los 16 años. De tal manera que si el niño es menor de 16 años el tratamiento únicamente será lícito si es autorizado por el titular de la patria potestad o tutela sobre al niño. No obstante, lo anterior, se estable por el art. 8.1 que los Estados Miembros podrán establecer por ley una edad inferior que en todo caso no podrá sobrepasar el límite de los 13 años.

Adicionalmente, el art. 6.2 establece de forma similar a como lo hacía nuestra normativa de protección de datos, que el responsable deberá realizar esfuerzos razonables para verificar que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el menor teniendo en cuenta la tecnología disponible.

PREGUNTAS FRECUENTES:

En relación a la edad para prestar consentimiento el Reglamento establece en el art. 8 que se limita la edad a 16 años, si bien únicamente referido a los servicios de la sociedad de información. ¿Implica ello, que fuera de ese supuesto desaparece la capacidad del mayor de 14 años para prestar su consentimiento en el tratamiento de sus datos de carácter personal?

El art. 8.2 se establece que los Estados miembros podrán establecer por ley una edad inferior con el límite de los 13 años, por tanto, todo apunta a que en España se mantendrán los 14 años establecidos por nuestra normativa de protección de datos como edad para prestar el consentimiento en materia de menores.

 

7.3.2 LAS CREDENCIALES DE ACCESO

El tratamiento de datos que no requiere identificación viene regulado en el art.11 y el considerando 57.

Artículo 11: Tratamiento que no requiere identificación

  1. Si los fines para los cuales un responsable trata datos personales no requieren o ya no requieren la identificación de un interesado por el responsable, este no estará obligado a mantener, obtener o tratar información adicional con vistas a identificar al interesado con la única finalidad de cumplir el presente Reglamento.
  2. Cuando, en los casos a que se refiere el apartado 1 del presente artículo, el responsable sea capaz de demostrar que no está en condiciones de identificar al interesado, le informará en consecuencia, de ser posible. En tales casos no se aplicarán los artículos 15 a 20, (Derechos del interesado) excepto cuando el interesado, a efectos del ejercicio de sus derechos en virtud de dichos artículos, facilite información adicional que permita su identificación.

El RGPD señala específicamente que pueden existir supuestos en los que los datos personales no permiten identificar a una persona física y que, por tanto, en estos casos no estaría obligado el responsable a obtener información adicional para la identificación del interesado con la única finalidad de cumplir con el RGPD. Pese a no ser una obligación la de identificación del interesado en dichos supuestos, sí estaría obligado a aceptar recibir información adicional que permita la identificación del interesado, si este último quiere ejercitar alguno de los derechos comprendidos en el RGPD entre los art. 15 a 20.

PREGUNTAS FRECUENTES:
El tratamiento de datos  que no me permiten identificar a la persona física, ¿no quedaría fuera del concepto de dato personal? ¿qué obligaciones de identificación recaen sobre el responsable de estos tratamientos? (véanse unas credenciales de acceso sin información adicional).

Los tratamientos de datos que no requieren identificación suelen ser supuestos muy usuales en los que el responsable únicamente conoce del interesado las credenciales de acceso a la plataforma o a la propia web. En estos casos es posible limitar el acceso a la web a través del sistema de usuario y contraseña, no existiendo método alguno para identificar a la persona que está detrás de esas credenciales (por tanto, toda la estadística o comportamiento en la web no puede ser atribuible a una persona física identificable). El RGPD establece a través del art. 11 que el responsable no está obligado a mantener, obtener o tratar información adicional con vistas a identificar al interesado con la única finalidad de cumplir el presente Reglamento, es decir, no hay un tratamiento de datos como tal debido a que la persona no es identificable.

Sin embargo, si el interesado desea ejercitar sus derechos a que no se traten sus datos y, por tanto, facilita datos de identificación para ejercitar tales derechos, el responsable sí vendría obligado desde ese momento dada la identificación del interesado que provoca que el responsable ya pueda vincular los datos de las credenciales navegación a una determinada persona física identificable.

7.3.3    TRATAMIENTO DE CONDENAS E INFRACCIONES PENALES

Por último, el tratamiento de datos respecto a las condenas e infracciones penales viene regulado en el art.10 del RGPD.

Artículo 10: Tratamiento de datos personales relativos a condenas e infracciones penales

El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1 (Licitud en el tratamiento), sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.

Conforme al art. 10 los tratamientos de datos relativos a condenas e infracciones penales sólo podrán llevarse a cabo bajo supervisión de Autoridad Pública o cuando se autorice por el Derecho de la UE o el Estado miembro.

 

 

CONCLUSIONES

  • Para que exista interés legítimo es necesario realizar una evaluación meticulosa de dicho interés y que exista una expectativa razonable de dicho tratamiento por parte del interesado (como por ejemplo los relativos a tratamientos para la prevención del fraude, marketing directo, transmisión de datos en un Grupo Empresarial, seguridad en redes informáticas etc.)
  • Se introducen nuevas categorías de datos sensibles como los datos biométricos, los datos genéticos y la orientación sexual.
  • Para el tratamiento de datos sensibles es necesario el consentimiento explícito, o encontrarse entre una de las circunstancias establecidas por el art.9 (obligaciones de derecho laboral, interés vital, fundación o asociaciones políticas o religiosas, datos manifiestamente públicos, defensa de reclamaciones e interés público)
  • El límite para el tratamiento de datos de los menores de edad se establece en los 16 años, pudiendo los Estados miembros bajar el mismo hasta el límite de los 13 años.

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.plugin cookies

ACEPTAR
Aviso de cookies